早些年，网络端口与应用之间几乎是一一对应的关系。53端口？那是DNS。22端口？SSH。23端口？Telnet。80端口？那是网站。
注意，这里用的是单数：“那个”网站，而不是“通过HTTP交付的约200个Web应用之一”。
这是一个重要区别，有助于理解应用边界如何从边缘（网络防火墙）转移到数据中心内部更靠近应用的位置（如果仍沿用安全领域的“城堡”类比，这里就是内城）。
我们的最新数据显示，所交付的应用中有65%基于HTTP。其余应用使用的协议包括常见的SSH、FTP、SMTP和DNS，以及其他一些可能不太为人熟知的协议。那么，一家典型企业有多少个应用？我们的《2016年应用交付现状》提供了丰富的信息。近一半的企业部署了1至200个应用，其余企业则部署了200多个应用。更令人意外的是，目前有10%的企业正在运行3,000多个应用。
其中超过一半的应用基于HTTP。它们全都通过数据中心的坚实防线——网络防火墙上的同一端口传输。然而，网络防火墙很可能无法区分这些应用。无论传输的是JSON还是HTML，面向企业还是消费者，也无论是否应允许用户在家中通过移动设备访问，网络防火墙都毫不关心。
这些因素对于保护应用安全日益重要，包括了解如何判断应用负载是否已遭入侵（JSON、HTML和XML各不相同），以及是否应允许从特定位置或设备进行访问。
这些正是应用访问控制服务非常关注的问题。与其他应用感知型服务一样，应用访问控制服务在整体安全策略中日益重要，原因就在于它们能够区分不同应用并应用适当的策略。它们不只是查看协议和端口，还会深入分析整个会话，评估各种变量（我们称之为上下文），从而判断是否确实应允许Bob在家中访问该高度敏感的应用。
我们的研究显示，各组织已经意识到这一点。目前，87%的组织部署了4项或更多身份与访问服务。2016年，这也是增长较快的应用服务类别，50%的组织计划在未来12个月内部署其中一项。至少在我看来，这并不意外，因为如今的应用访问必然涉及云环境，而网络防火墙无法将应用访问控制扩展到云端，身份与访问服务则可以。
当然，网络防火墙仍是各组织部署最广泛的服务，而且我认为这种情况短期内不会改变。网络防火墙一直是，并将继续是每个组织安全策略中的重要组成部分。但随着云、移动和物联网不断扩大需要保护的应用版图，应用访问控制的作用和重要性也将持续提升。这不仅是因为网络防火墙已不再具备区分通过同一协议（HTTP）交付的不同应用所需的可见性，还因为大量应用部署在云端后，网络防火墙已不再是访问这些应用的唯一入口。
如需了解更多详情，请获取完整的《2016 年应用交付现状报告》。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。